Nmedia - Fotolia

Container-Images und Container-Inhalte sicher einsetzen

Immer mehr Unternehmen setzen in produktiven Umgebungen auf Container-Technologie. Dabei gilt es in Sachen Sicherheit einige Punkte zu beachten.

Dank ihrer Flexibilität und Skalierbarkeit haben Container Konjunktur. Nun eignen sich Container aber nicht für alle Anwendungsfälle und in Sachen Sicherheit bringt die Technologie ganz eigene Herausforderungen mit sich. Hinsichtlich der Container-Sicherheit hatte SearchSecurity.de Gelegenheit zu einem Gespräch mit Joe Brockmeier von Red Hat.

Was sind für Unternehmen die größten Herausforderungen im Hinblick auf die Sicherheit beim Einsatz von Container-Technologie?

Joe Brockmeier: Das aktuelle Interesse für Linux-Container ist vor allem durch das einfache Handling verursacht. Diese bequeme Handhabung wird verglichen mit den Best Practices und der Art und Weise, wie bisher in der Industrie Software ausgeliefert wurde.

Eine der Herausforderungen besteht darin, die Technologie so einzusetzen, dass sich die Auslieferung und Verwaltung von Software vereinfacht und wir uns dabei gleichzeitig an die Regeln halten, die wir über die Jahre gelernt haben. Dazu zählt etwa, genau zu wissen, woher die im Container verwendete Software stammt sowie dafür zu sorgen, dass sie aktuell ist und sie niemand manipuliert hat. Es geht nicht darum, ob man dem Repository, in dem die Images gespeichert sind, vertraut, sondern um die Verifizierung des Images selbst – genau so, wie Entwickler heute mit Softwarepaketen, ISO-Images und anderen Elementen umgehen.

Wo liegen in Sachen Sicherheit die Unterschiede zu physischen Servern und virtualisierten Servern?

Joe Brockmeier: Wenn wir an Container denken, stellt sich nicht automatisch die Frage, was besser ist: Container oder virtuelle Maschinen. Vielmehr sind die Technologien komplementär, vor allem, wenn wir den Schwerpunkt auf das Thema Sicherheit legen. Virtualisierung ist heutzutage in der Lage, Computing-Ressourcen zu isolieren. Es wird erwartet, dass sich separate virtuelle Maschinen auf einem Host nicht gegenseitig beeinflussen, selbst wenn eine dieser VMs von einem böswilligen Dritten kontrolliert wird. Vorteile erlangen wir auch dadurch, weil wir in der Lage sind, einen wesentlichen Teil der Infrastruktur auf dem Software-Level zu definieren. Daraus resultieren eine hohe Flexibilität und Sicherheit bei der Isolation von Ressourcen.

Container fokussieren auf die Isolation von Prozessen, anstatt von Ressourcen. Hier kommt die komplementäre Natur der Technologien zum Tragen: Container innerhalb von virtuellen Maschinen sind nützlicher als beide Technologien getrennt. Container auf einem Single Host teilen Ressourcen – inklusive des Kernels –, indem sie Technologien nutzen, die dafür sorgen, dass ein Container-Prozess keine anderen Container-Prozesse beeinflusst.

Das verschiebt unseren Sicherheits-Fokus auf den Inhalt des Containers. Zwar können wir Ressourcen und Prozesse isolieren, wir müssen aber immer noch sicherstellen, dass der Inhalt des Containers von hoher Qualität ist und kontinuierlich aktualisiert wird. Container und virtuelle Maschinen können dabei helfen, betrügerische Inhalte zu isolieren. Aber es sind die Entwickler, die aufmerksam in Bezug auf die Applikation bleiben müssen. Trotz Ressourcen- und Prozess-Isolation kann eine Applikation Zugriff auf sensible Daten gewähren.

„Eines der größten Missverständnisse, das immer wieder auftritt: Bei Containern sind die normalen Regeln für die Softwareverwaltung außer Kraft gesetzt.“

Joe Brockmeier, Red Hat

Während der Implementation von Containern innerhalb von virtuellen Maschinen stellen wir sicher, dass sich Entwickler auf das Entwickeln fokussieren können, anstatt sich mit System-Sicherheit und Ressourcenplanung zu beschäftigen.

Was sind die größten Irrtümer im Hinblick auf die Sicherheit von Containern?

Joe Brockmeier: Eines der größten Missverständnisse, das immer wieder auftritt: Bei Containern sind die normalen Regeln für die Softwareverwaltung außer Kraft gesetzt. Entwickler beispielsweise nutzen Container-Images aus einem Public Repository, ohne dass sie die Herkunft und den Inhalt der Container überprüfen. Genau diese Entwickler würden aber gleichzeitig nie unsignierte und ungeprüfte RPM-Pakete aus einer nicht vertrauenswürdigen Quelle einsetzen. Warum also sollte man einen Service oder eine Applikation eines Container-Images aus einer nicht vertrauenswürdigen Quelle nutzen? Dieses Missverständnis führt dann unter anderem zu der Annahme, dass Container weniger sicher seien als normale Prozesse.

Wie können Unternehmen die Sicherheit innerhalb der Anwendungen eines Containers und die Sicherheit des Images selbst sicherstellen, wie müssen Sicherheitsstrategie und -lösungen angepasst werden? Gibt es unter Security-Aspekten Best Practices für das Container-Management?

Joe Brockmeier: Parallel zur Weiterentwicklung der Technologie entstehen auch Best Practices für das Container-Management. Es gibt bereits einige gute Richtlinien. Entwickler sollten etwa nur verifizierte und mit den neuesten Security-Patches ausgestattete Images einsetzen. Sie sollten es auch vermeiden, Applikationen als Root in einem Container einzusetzen. Mit Hilfe zusätzlicher Funktionen von Container-Runtimes wie Docker sollten die in einem Container nicht benötigten Linux-Funktionalitäten zudem ausgeschaltet werden. Weitere Informationen dazu gibt es in einem Blog von Red Hat.

Die Best Practices, die sich für die Paketierung und Auslieferung von Software als RPM bewährt haben, gelten auch für Linux-Container. Was neu ist: Container und Technologien wie OpenShift und Kubernetes erweitern die Möglichkeiten zur Auslieferung, Verwaltung und Orchestrierung von Applikationen.

Wie hat sich das Thema Security bei Containern entwickelt, was ist für die Zukunft zu erwarten?

Joe Brockmeier: Da immer mehr Unternehmen Container für Mission-Critical-Workloads in produktiven Umgebungen einsetzen wollen, ist gleichzeitig auch das Thema Security stärker in den Fokus gerückt. Für Red Hat ist Security schon immer von größter Bedeutung. Seit langer Zeit befassen wir uns bei anderen Formen der Software-Paketierung damit und haben bereits umfangreiche Erfahrungen gesammelt.

Folgen Sie SearchSecurity.de auch auf Twitter, Google+, Xing und Facebook!

 

Nächste Schritte

Regeln für den sicheren Einsatz von Containern

Angriffspunkt Open-Source-Software

Überfällige Fragen im Zusammenhang mit der Container-Virtualisierung

Von Sicherheit bis Management: Fünf Probleme bei der Container-Virtualisierung

Artikel wurde zuletzt im Dezember 2016 aktualisiert

Pro+

Premium-Inhalte

Weitere Pro+ Premium-Inhalte und andere Mitglieder-Angebote, finden Sie hier.

Erfahren Sie mehr über IT-Sicherheit: Policies, Prozeduren und Richtlinien

Diskussion starten

Schicken Sie mir eine Nachricht bei Kommentaren anderer Mitglieder.

Mit dem Absenden dieser Daten erklären Sie sich bereit, E-Mails von TechTarget und seinen Partnern zu erhalten. Wenn Ihr Wohnsitz außerhalb der Vereinigten Staaten ist, geben Sie uns hiermit Ihre Erlaubnis, Ihre persönlichen Daten zu übertragen und in den Vereinigten Staaten zu verarbeiten. Datenschutz

Bitte erstellen Sie einen Usernamen, um einen Kommentar abzugeben.

- GOOGLE-ANZEIGEN

SearchStorage.de

SearchNetworking.de

SearchEnterpriseSoftware.de

SearchDataCenter.de

Close